Ataques Pass-the-Hash e Pass-the-Ticket

Os protocolos de credenciais do Windows armazenam segredos de autenticação (hashes NTLM e tíquetes Kerberos) na memória. Um invasor com privilégios de SYSTEM pode extrair esses segredos e reutilizá-los para se autenticar como outros usuários sem saber as senhas.

O Mimikatz é a principal ferramenta de extração de credenciais no Windows. Quando executado como SYSTEM/Administrador, ele lê a memória do processo LSASS para extrair hashes NTLM e credenciais em texto simples.

O PtH injeta um hash NTLM em uma nova sessão sem que seja necessário conhecer a senha em texto simples. O hash autentica o usuário em serviços remotos usando NTLM — uma técnica eficaz para movimentação lateral para outros computadores Windows.

O Impacket fornece ferramentas Python para PtH: psexec.py, smbexec.py e wmiexec.py aceitam hashes NTLM diretamente para executar comandos remotamente.

Os tíquetes Kerberos também são armazenados na memória do LSASS. O Mimikatz os extrai; o Rubeus é a ferramenta especializada em operações com tíquetes Kerberos no Windows.

O PtT injeta um tíquete Kerberos roubado na sessão atual. O tíquete autentica o usuário nos serviços como o proprietário original do tíquete — não é necessário ter o hash nem a senha.

A partir de um ponto de apoio, faça o despejo remoto do LSASS usando o CrackMapExec ou o secretsdump do Impacket — não é necessária uma sessão interativa no destino.

Depois de obter hashes ou tíquetes, movimente-se lateralmente: use PtH em outras máquinas com a reutilização de administradores locais, use PtT para acessar serviços do domínio e avance em direção aos privilégios de administrador do domínio visando contas privilegiadas.

Os defensores detectam PtH por meio de: ID de evento 4624 (logon) com tipo de logon 3 e sem um logon interativo correspondente, anomalias na autenticação NTLM e assinaturas do Mimikatz na memória ou no disco.

Principais medidas: habilite o Credential Guard (que protege o LSASS por meio de virtualização), restrinja a reutilização de administradores locais entre máquinas (LAPS), exija o grupo Protected Users para contas privilegiadas e desative o NTLM sempre que possível.

A conversão de hash transforma um hash NTLM em um TGT do Kerberos. Isso é útil em ambientes nos quais o NTLM está bloqueado, mas o Kerberos está disponível, ou quando você precisa de um TGT para realizar outros ataques ao Kerberos.

O uso direto do hash e o uso direto do tíquete são a base da movimentação lateral no Active Directory. Ambos exploram o armazenamento em cache de credenciais do Windows no LSASS. O Mimikatz e o Impacket tornam a extração e a reutilização triviais. Defenda-se usando Credential Guard, LAPS, o grupo Protected Users e monitoramento rigoroso dos eventos de autenticação NTLM e Kerberos.